MAYAChain ferma la rete dopo un exploit stimato in 1,7 milioni di dollari

[Aggiornamento 09:25 UTC, 19 agosto: aggiunti dettagli sui meccanismi dell’exploit e sul suo impatto sui pool di liquidità di MAYAChain.]

Aggiornamento 06:57 UTC, 20 agosto: aggiunti i commenti del cofondatore di Maya Protocol Aalux.

L’exchange decentralizzato cross-chain (DEX) Maya Protocol ha sospeso la propria rete dopo che un aggressore ha sfruttato una serie di vulnerabilità software per ottenere criptovalute per un valore stimato di 1,7 milioni di dollari.

Mercoledì, il cofondatore pseudonimo di Maya Protocol Aalux ha dichiarato che l’aggressore aveva sottratto circa 20 Bitcoin, per un valore di 1,4 milioni di dollari, oltre ad altri asset per 300.000 dollari. Ha aggiunto che la sospensione aveva impedito ulteriori danni e che il team aveva iniziato a lavorare a una soluzione per riprendere gli swap.

Un’analisi tecnica preliminare condivisa da Aalux ha attribuito l’incidente a sei bug concatenati che coinvolgevano i conti di trading, la gestione delle transazioni in uscita e i calcoli dei pool di liquidità. 

Sebbene l’analisi abbia quantificato il bottino dell’aggressore in circa 1,7 milioni di dollari, ha stimato che i pool di MAYAChain abbiano perso circa 10,9 milioni di dollari di valore, comprese le perdite derivanti dall’arbitraggio e dal crollo di CACAO.

Aalux ha dichiarato a Cointelegraph che il team aveva contattato l’aggressore tramite un messaggio incorporato in una transazione Bitcoin OP_RETURN. Ha detto che avrebbe donato personalmente 200.000 dollari e lavorato per raccogliere ulteriori fondi, con l’obiettivo di recuperare la maggior parte possibile delle perdite e potenzialmente compensare integralmente gli utenti colpiti.

Come si è sviluppato l’exploit di MAYAChain

Maya Protocol è una rete cross-chain costruita a partire dal codice open source di THORChain e progettata per integrarlo. CACAO è il token per il gas e il regolamento di MAYAChain ed è abbinato agli asset supportati nei suoi pool di liquidità. 

Secondo l’analisi, la transazione ha sovrascritto i registri che tracciavano i trasferimenti in uscita, facendo classificare i trasferimenti come mancanti. Ciò ha attivato un meccanismo di protezione dai furti, che ha calcolato erroneamente la compensazione per il pool a bassa liquidità di Maya basato su Arbitrum Chainlink (ARB.LINK) e gli ha accreditato erroneamente 49,45 milioni di CACAO.

Correlato: BitBox corregge vulnerabilità «gravi» dei wallet che potrebbero mettere a rischio i fondi

Il trasferimento destinato a finanziare quell’accredito è fallito perché la riserva di Maya conteneva una quantità insufficiente di CACAO, ma il saldo gonfiato del pool è rimasto. L’aggressore ha quindi aggiunto liquidità trascurabile, acquisito il 99,93% del pool e ritirato 48,87 milioni di CACAO da Asgard, che detiene gli asset del protocollo.  

Il ricercatore indipendente di sicurezza blockchain Vini Barbosa ha riassunto i risultati e ha osservato che CACAO era sceso dell’88,7%, da circa 0,115 a 0,013 dollari durante l’incidente. 

Aalux ha dichiarato che il team avrebbe cercato di ottenere la restituzione dei fondi sottratti tramite un bug bounty e avrebbe lavorato per ripristinare la liquidità. 

Rivista: Le «voci fabbricate» sul fondatore di BitMart e Binance bStocks dominano: Asia Express